学校・教育機関の標的型メール訓練：教員と事務職員それぞれに合わせた進め方

教育機関の現状

学校や大学は、成績や家庭の情報、入試の情報、研究のデータなど、守るべき情報を多く持っています。一方で、教員・事務職員・研究者など立場の違う人が、学外の多くの相手とメールでやりとりしています。

警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」は、国家を背景とする攻撃グループが、情報通信、先端技術・製造、学術研究などの分野を主な標的にしていると説明しています。また、令和7年のランサムウェアの被害報告226件のうち、「教育、学習支援業」は11件でした（統計データより）。

ガイドラインでの研修・訓練の位置づけ

文部科学省の「教育情報セキュリティポリシーに関するガイドライン」（令和7年3月）は、主に地方公共団体が設置する学校を対象にしています。学校法人や国立大学法人なども参照するよう求めています。このガイドラインの対策基準の例文には、次のような内容があります。

• CISO（最高情報セキュリティ責任者）は、定期的に情報セキュリティに関する研修・訓練を行う
• 教職員が毎年度最低1回は研修を受けられるようにする（推奨事項）
• 新しく採用した教職員への研修を行う
• 全ての教職員は、定められた研修・訓練に参加する（解説では、参加を義務とする規定を設ける、としています）
• 標的型攻撃への備えとして、教育などの人的な対策を講じる

これはポリシーを作るための例文で、標的型メール訓練という方法を指定しているわけではありません。ただ、訓練を研修計画に位置づけると、ポリシーとの関係を説明しやすくなります。

大学などの高等教育機関には、国立情報学研究所（NII）が「高等教育機関の情報セキュリティ対策のためのサンプル規程集」を公開しています。2025年版の対策基準には、利用者が毎年度最低1回は教育を受けられるように、教育の実施計画を立てる、という条文があります。

なぜ訓練が必要か

IPAの「企業組織を狙う攻撃メールの手口とその対策」（2026年8月）は、標的型攻撃メールについて、相手の業務内容を調べたうえで、受信者が開かざるを得ない内容や、興味をそそる内容で送られると説明しています。教育機関では、次のような相手を装ったメールが考えられます。

• 保護者・受験生：欠席の連絡、出願や入試についての問い合わせ
• 学外の研究者・学会：共同研究の相談、原稿や査読の依頼
• 教育委員会・関係機関：調査への回答依頼、通知文の送付
• 学内の情報システム部門：パスワードの有効期限の通知（IPAの資料もIT部門を装う手口を挙げています）

IPAの「情報セキュリティ10大脅威 2026」では、2025年11月に業務委託先のソフトウェア開発会社がランサムウェアの被害に遭い、委託元の大学なども被害を公表した事例が紹介されています。警察庁の資料にも、2025年12月に教育機関が不正アクセスを受け、メールサービスの個人情報などが漏えいした可能性が高いと発表した事例があります。どちらもメールが入口だったとは書かれていませんが、委託先やメールのアカウントも狙われることを伝える材料になります。

訓練の進め方のポイント

対象者を分けて考える

教員と事務職員では、受け取るメールの種類が違います。同じ文面を全員に送るより、グループごとに文面を変えるほうが、実際の業務に近い訓練になります。

対象	よく届くメール	訓練の文面の例（件名の型）
教員	保護者・学外の研究者・学会からの連絡	「【ご相談】〇〇の件について（保護者より）」「共同研究のご提案」
事務職員（学務・入試）	出願・証明書の問い合わせ、業者からの連絡	「出願書類の再提出について」「【至急】証明書発行のお願い」
事務職員（経理・契約）	請求書・見積書、振込先の連絡	「請求書送付のご案内」「振込先口座変更のお知らせ」
全員	学内システムの通知	「【情報基盤センター】パスワード有効期限のお知らせ」

本文には「差出人の名前と所属」「期限を区切った依頼」「添付ファイルかリンク」の3つを入れると、確かめたい行動がはっきりします。文面の考え方は「訓練メールの文例・件名の作り方」で解説しています。

実施の時期と頻度

学校には、年度初め、入試、成績処理、学期末など、忙しい時期がはっきりあります。年度の研修計画に訓練の月を書き込み、繁忙期を避けて固定すると続けやすくなります。新しく採用・異動した教職員は、着任後の研修とあわせて早めに対象に入れましょう。頻度の考え方は「標的型メール訓練の頻度」を参考にしてください。

報告の窓口を1つにする

文部科学省のガイドラインは、標的型攻撃メールに気付いたときは、システム管理者に着信を知らせ、組織内への注意喚起を依頼することを人的な対策の例に挙げています。訓練でも、開いたかどうかより、報告先に知らせたかどうかを重く見てください。学校では教育委員会や学内の情報部門など、報告先が複数あって迷いやすいため、窓口を1つに決めて周知しておきます。報告の考え方は「報告率とは」で解説しています。

事前に関係者へ伝える

校長・副校長や事務長など、問い合わせを受ける立場の人には事前に伝えておきましょう。学生や児童生徒のアカウントを対象にするかどうかは、教職員とは分けて慎重に判断してください。

サービスを選ぶときは、グループごとに文面を変えて配信できるか、配信日時を予約できるかを確認します。各サービスの機能は比較表で確認できます。

まとめ

• 教育機関は、学術研究を狙う攻撃やランサムウェアの被害が警察庁の資料でも確認されている分野です
• 文部科学省のガイドラインの例文やNIIのサンプル規程集には、定期的な研修・訓練、毎年度1回以上の研修の考え方が書かれています
• 教員と事務職員で届くメールが違うため、保護者・研究者・業者・学内システムなど、相手に合わせて文面を分けましょう
• 繁忙期を避けて年度計画に訓練を組み込み、報告の窓口を1つにして、報告できたかどうかを重く見て振り返りましょう